【正文】 在發(fā)現(xiàn)攻擊時(shí)，根據(jù)接口 信息、AS、 BGP 路由等信息，最終將定位出最靠近攻擊源的接口信息。 對(duì)網(wǎng)絡(luò)的拓?fù)?、設(shè)備、流量、等進(jìn)行深入的分析，找出對(duì)網(wǎng)絡(luò)影響最大的因素或找出網(wǎng)絡(luò)流量、用戶及業(yè)務(wù)增長(zhǎng)的規(guī)律，在網(wǎng)絡(luò)出現(xiàn)故障或者是在網(wǎng)絡(luò)即將出現(xiàn)瓶頸之前給出科學(xué)的預(yù)測(cè)，對(duì)網(wǎng)絡(luò)進(jìn)行優(yōu)化、升級(jí)、或改造，以滿足不斷增長(zhǎng)的用戶和業(yè)務(wù)的需求。 當(dāng)以上這些不同類型的流量以同樣的身份爭(zhēng)用網(wǎng)絡(luò)中有限的帶寬的時(shí)候，網(wǎng)絡(luò)將會(huì)很快 地過(guò)載，進(jìn)而導(dǎo)致網(wǎng)絡(luò)對(duì)用戶請(qǐng)求的響應(yīng)時(shí)間變得非常漫長(zhǎng)以及應(yīng)用請(qǐng)求的超時(shí)，并且使用戶變得焦躁煩惱。 劃分 VLAN 的基本策略 ， 從技術(shù)角度講， VLAN 的劃分可依據(jù)不同原則，一般有以下三種劃分方法： VLAN 劃分 這種劃分是把一個(gè)或多個(gè)交換機(jī)上的幾個(gè)端口劃分一個(gè)邏輯組，這是最簡(jiǎn)單、最有效的劃分方法。 用 VLAN 來(lái)簡(jiǎn)化網(wǎng)絡(luò)管理的方式有多種： ● 通過(guò)將某個(gè)端口配置到合適的 VLAN 中，就可以實(shí)現(xiàn)網(wǎng)絡(luò)的添加、移動(dòng)和改變。這樣，也就實(shí)現(xiàn)了主路由到備份路由的切換。 合理的網(wǎng)段劃分結(jié)合靈活的 VLAN 規(guī)劃，可以有效地降低網(wǎng)絡(luò)風(fēng)暴的產(chǎn)生，保證整個(gè)網(wǎng)絡(luò)的穩(wěn)定，同時(shí)也起到一定的網(wǎng)絡(luò)安全功能。但如果通過(guò)限制它的廣播，就可以解決這類問(wèn)題的發(fā)生。 高高 速速 互互 聯(lián)聯(lián) 網(wǎng)網(wǎng) 接接 入入 廣域網(wǎng)的連接以及為用戶提供接入服務(wù)將由 防火墻 實(shí)現(xiàn)，具有較高的性能價(jià)格比，而且一機(jī)多用，避免了 設(shè)備的重復(fù)投資。如果網(wǎng)絡(luò)支持QoS 機(jī)制，在發(fā)生網(wǎng)絡(luò)擁塞時(shí)，使視頻應(yīng)用的數(shù)據(jù)包優(yōu)先通過(guò)，將大大改善視頻播放的質(zhì)量。影響骨干網(wǎng)穩(wěn)定可靠的因素有很多，但是最主要的有三個(gè)方面：設(shè)備本身、網(wǎng)絡(luò)架構(gòu)、安全保障。根據(jù)學(xué)校建設(shè)要求與總體目標(biāo)，骨干網(wǎng)采用三層結(jié)構(gòu)，由核心層，匯聚層和接入層構(gòu)成。 高校網(wǎng)絡(luò) 方案 模板 20 第第 4 章章 校校 園園 網(wǎng)網(wǎng) 絡(luò)絡(luò) 總總 體體 規(guī)規(guī) 劃劃 XXX 大學(xué) 校園網(wǎng)是 用來(lái)承載校園 信息化 的，是校園 信息化的基礎(chǔ)，因此校園網(wǎng)的建設(shè)要以滿足校園 信息化 為目標(biāo)，滿足學(xué)校未來(lái)發(fā)展的需求。 二、 層次化的設(shè)計(jì) 對(duì)于大型網(wǎng)絡(luò)，可以采用業(yè)界通用 “核心層 匯聚層 接入層 ”層次化網(wǎng)絡(luò)設(shè)計(jì)模型。 可管理性 對(duì)網(wǎng)絡(luò)實(shí)行集中監(jiān)測(cè) 、 分權(quán)管理 ， 并統(tǒng)一分配帶寬資高校網(wǎng)絡(luò) 方案 模板 15 源 。 統(tǒng)一規(guī)劃 數(shù)字化校園建設(shè)是一 個(gè)龐大的系統(tǒng)工程，涉及到計(jì)算機(jī)技術(shù)、網(wǎng)絡(luò)技術(shù)、通訊技術(shù)與網(wǎng)絡(luò)工程、軟件工程、項(xiàng)目管理等多個(gè)方面，具有投資高、建設(shè)難、周期長(zhǎng)、涉及部門和人員多等特點(diǎn)，因此建設(shè)之前必須站在整個(gè)學(xué)院的層面，做好項(xiàng)目分析和規(guī)劃設(shè)計(jì)工作，整體考慮、統(tǒng)一規(guī)劃，確保統(tǒng)一的信息標(biāo)準(zhǔn)、統(tǒng)一的技術(shù)路線、統(tǒng)一的基礎(chǔ)架構(gòu)和統(tǒng)一的組織管理。 ● 無(wú)線網(wǎng)絡(luò) ： 校園網(wǎng) 承受 著應(yīng)用的普及和應(yīng)用水平的不斷提高，而學(xué)校中的網(wǎng)絡(luò)終端資源卻很有限，越來(lái)越難以滿足師生的需求。它將電視、通信和計(jì)算機(jī)三個(gè)領(lǐng)域結(jié)合在一起，被業(yè)界喻為撬開(kāi)寬帶市場(chǎng)的新支點(diǎn)。 校園需要的基本功能有： ●計(jì)算機(jī)教學(xué)，包括多媒體教學(xué)和遠(yuǎn)程教學(xué)； 高校網(wǎng)絡(luò) 方案 模板 6 ●網(wǎng)絡(luò)下載、網(wǎng)絡(luò)聊天等； ●電子郵件系統(tǒng)：主要進(jìn)行與同行交往、開(kāi)展技術(shù)合作、學(xué)術(shù)交流等活動(dòng)； ●文件傳輸 FTP：主要利用 FTP 服務(wù)獲取重要的科技資料和技術(shù)文擋； ● INTERNET服務(wù)：學(xué)?？梢越⒆约旱闹黜?yè)，利用外部網(wǎng)頁(yè)進(jìn)行 學(xué)校宣傳，提供各類咨詢信息等，利用內(nèi)部網(wǎng)頁(yè)進(jìn)行管理，例如發(fā)布通知、收集學(xué)生意見(jiàn)等。 校園網(wǎng) WEB 頁(yè)面可實(shí)現(xiàn)以下功能：用戶 Web 自助服務(wù)功能，用戶可通過(guò) Web 自助服務(wù)頁(yè)面，進(jìn)行個(gè)人資料的查詢、密碼修改、上網(wǎng)明細(xì)查詢、繳費(fèi)記錄查詢以及在線預(yù)注冊(cè)和在線帳號(hào)充值。在校園內(nèi)組建計(jì)算機(jī)網(wǎng)絡(luò)，在服務(wù)教學(xué)、科研的同時(shí)，也可以大大提高管理水平和效率。在學(xué)校中建立計(jì)算機(jī)網(wǎng)絡(luò)已經(jīng)是十分迫切的需要 。我國(guó)高校信息化建設(shè)起步較晚，近十年來(lái)，隨著我國(guó)高等教育的快速發(fā)展，高校辦學(xué)規(guī)模不斷擴(kuò)大，使各個(gè)管理部門任務(wù)越來(lái)越繁重，不僅增加了工作量，更增大了工作難度，管理手段落后將直接影響教學(xué)質(zhì)量和辦學(xué)水平。 1 網(wǎng)管平臺(tái)實(shí)現(xiàn)網(wǎng)絡(luò)資源的管理、網(wǎng)絡(luò)安全訪問(wèn)的控制。 IPTV 是通過(guò)寬帶 IP 網(wǎng)絡(luò)來(lái)看電視，用戶可以通過(guò)普通電視機(jī)＋機(jī)頂盒方式收看。 在已經(jīng)建立起的較完善的校園網(wǎng)，極大地方便了學(xué)校 之內(nèi)以及學(xué)校與外界的交流。 IP 電話和傳統(tǒng)電話的區(qū)別主要也就在于傳輸技術(shù)上。 主干網(wǎng)絡(luò)設(shè)備的主要部件必須支持帶電熱插拔 ， 在萬(wàn)一出現(xiàn)局部故障時(shí)應(yīng)不影響網(wǎng)絡(luò)其他部分的運(yùn)行 ， 并且故障便于診斷和排除 。 而在具體實(shí)施中 ， 必須統(tǒng)一規(guī)劃 IP地址及各種應(yīng)用 ， 采用開(kāi)放的技術(shù)及國(guó)際標(biāo)準(zhǔn) ， 如路由協(xié)議 、安全標(biāo)準(zhǔn) 、 接入標(biāo)準(zhǔn)和網(wǎng)絡(luò)管理平臺(tái)等 ， 才能保證實(shí)現(xiàn)網(wǎng)絡(luò)的統(tǒng)一 ， 并確保網(wǎng)絡(luò)的可擴(kuò)展性 。訪問(wèn)層主要通過(guò)二層交換機(jī)組成。 網(wǎng)絡(luò)層通過(guò)網(wǎng)絡(luò)設(shè)備、系統(tǒng)平臺(tái)、開(kāi)發(fā)平臺(tái)的鋪設(shè)，為上層應(yīng)用層提供信息服務(wù)、教學(xué)服務(wù)、校務(wù)服務(wù)、互聯(lián)服務(wù)的平高校網(wǎng)絡(luò) 方案 模板 22 臺(tái)和接入接口，應(yīng)用層直接面 向用戶，為用戶的各種需要服務(wù)。同時(shí)， 還應(yīng)該考慮到與原有 網(wǎng)絡(luò)設(shè)備之間的良好的兼容性、互通性。 對(duì)對(duì) 多多 媒媒 體體 網(wǎng)網(wǎng) 絡(luò)絡(luò) 的的 支支 持持 針對(duì)校園網(wǎng)絡(luò)的特點(diǎn)，本方案最突出的特點(diǎn)是全面支持多目廣播技術(shù)。 依照網(wǎng)絡(luò)的總體規(guī)劃， 核心層將為整個(gè)網(wǎng)絡(luò)的安全、可靠、穩(wěn)定運(yùn)行提供保證。 總結(jié)近幾年來(lái)國(guó)內(nèi)部分已經(jīng)采用無(wú)線網(wǎng)絡(luò)的學(xué)校在建設(shè)中出現(xiàn)的經(jīng)驗(yàn)教訓(xùn)，對(duì)于無(wú)線的部署，我們需 要著重關(guān)注的是：合理的物理部署與信道規(guī)劃、無(wú)線的訪問(wèn) /傳輸安全、無(wú)線網(wǎng)絡(luò)管理和漫游四個(gè)問(wèn)題。 用用 戶戶 的的 漫漫 游游 漫游網(wǎng)絡(luò)可分為物理層漫游、鏈路層漫游、網(wǎng)絡(luò)層漫游和應(yīng)用層漫游。 用戶需要訪問(wèn) Cer 和 Inter，要使用帳號(hào)登陸，認(rèn)證通過(guò) 后才能訪問(wèn)。連接到物理網(wǎng)絡(luò)的任何人都可以訪問(wèn)位于物理 LAN 上的網(wǎng)絡(luò)資源，用戶只需將其工作站插入到現(xiàn)有的集線器中，就可以加入某個(gè)工作組。在不改動(dòng)網(wǎng)絡(luò)物理連接的情況下可以任意地將工作站在工作組或子網(wǎng)之間移高校網(wǎng)絡(luò) 方案 模板 40 動(dòng)。 因此校園網(wǎng)建議基于端口劃分 VLAN。 ● 在第四層技術(shù)方面，交換機(jī)可以對(duì)數(shù)據(jù)流量的目的 IP 地址與 TCP/IP 端口號(hào)的組合進(jìn)行分析，并利用這一分析結(jié)果將 HTTP 流量與 FTP 流量或 POP3 郵件流量區(qū)分開(kāi)，或者為了實(shí)現(xiàn)更高的 Inter 訪問(wèn)速度將用戶的 Web 流量重 新引導(dǎo)至一臺(tái) Web 緩存服務(wù)器上。 2．蠕蟲攻擊特征檢測(cè)。監(jiān)測(cè)的主要目的是通過(guò)異常流量監(jiān)測(cè)系統(tǒng)和產(chǎn)品的流量自學(xué)習(xí)功能掌握正常流量模型，在此基礎(chǔ)上，能夠?qū)Ψ治龊团袛鄮捫汀袄绷髁抗?，例? SQLSlammer 蠕蟲攻擊等垃圾流量在大量占用骨干鏈路資源的情況。當(dāng)某個(gè)時(shí)段，某個(gè)協(xié)議流量與當(dāng)前基線不符時(shí)，會(huì)給出一個(gè)異常告警，并隨著時(shí)間積累，會(huì)將告警逐步升級(jí)。 ● 在第三層技術(shù)方面，對(duì)差別化業(yè)務(wù)編碼點(diǎn)（ Differential Services Code Point， DSCP）技術(shù)的支持。 高校學(xué)生的流動(dòng)性大，例如換寢室，畢業(yè)等，而導(dǎo)致的學(xué)生的人數(shù)和班級(jí)的變動(dòng)。 簡(jiǎn)單、直觀 對(duì)于交換式以太網(wǎng)，如果對(duì)某些用戶重新進(jìn)行網(wǎng)段分配，需要網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)系統(tǒng)的物理結(jié)構(gòu)重新進(jìn)行調(diào)整，甚至需要追加網(wǎng)絡(luò)設(shè)備，增大網(wǎng)絡(luò)管理的工作量。 安全性也是一個(gè)問(wèn)題，因?yàn)樵诘湫偷牡? 2 層交換式互聯(lián) 網(wǎng)絡(luò)的內(nèi)部，默認(rèn)時(shí)所有用戶都可以看見(jiàn)所有的設(shè)備。為了安全考慮對(duì)所有的都采用靜態(tài)分配 IP 地址，為防止地址盜用，采用 IP 地址、 MAC 地址與端口綁定。 其次，對(duì)環(huán)境的管理是更深層次的網(wǎng)絡(luò)管理。 ? 過(guò)濾控制 ? 可實(shí)現(xiàn)各類服務(wù)（ TCP、 UDP 服務(wù)）的過(guò)濾控制能力； ? 所有對(duì)外服務(wù)的過(guò)濾均應(yīng)具有端口檢測(cè)控制能力。屬于不同子網(wǎng)的端口，即使在相同的交高校網(wǎng)絡(luò) 方案 模板 28 換機(jī)中，也不能進(jìn)行未經(jīng)許可的通信。核 心和匯聚之間采用雙鏈路連接，一旦數(shù)據(jù)傳輸?shù)幕顒?dòng)鏈路失效以后可以自動(dòng)切換到另一條鏈路，保障數(shù)據(jù)的正常轉(zhuǎn)發(fā)。 核核 心心 層層 如拓?fù)鋱D所示，作為 校園網(wǎng) 的核心，要求設(shè)備能夠大容量、穩(wěn)定可靠的高速路由轉(zhuǎn)發(fā)，能夠接入大量的匯聚節(jié)點(diǎn)并滿足今后擴(kuò)充的需要。目前，廣域主干網(wǎng)上實(shí)現(xiàn)三網(wǎng)合一的技術(shù)條件已經(jīng)成熟并以開(kāi)始實(shí)用。 接入層 高校網(wǎng)絡(luò) 方案 模板 19 接入層作為各模塊到交換骨干的連接，根據(jù)不同模塊進(jìn) 行邏輯子網(wǎng)劃分，并通過(guò) VLAN 技術(shù)實(shí)現(xiàn)子網(wǎng)之間的隔離。 統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一平臺(tái) 網(wǎng)絡(luò)的互聯(lián)及互通關(guān)鍵是對(duì)相同標(biāo)準(zhǔn)的遵循 ， 要實(shí)現(xiàn)網(wǎng)絡(luò)業(yè)務(wù)能融合到一起 ， 實(shí)現(xiàn)數(shù)據(jù) 、 語(yǔ)音 、 視頻業(yè)務(wù)的融合 ， 就必須統(tǒng)一標(biāo)準(zhǔn) 。 設(shè)設(shè) 計(jì)計(jì) 原原 則則 網(wǎng)網(wǎng) 絡(luò)絡(luò) 設(shè)設(shè) 計(jì)計(jì) 的的 基基 本本 原原 則則 校園網(wǎng)連接了包括教學(xué)樓 、 辦公樓 、 實(shí)驗(yàn)樓 、 圖書館 、 學(xué)生宿舍樓 、 教職工生活區(qū)等大量的信息點(diǎn) ， 學(xué)校管理 、 教育科研 、 電子教學(xué) 、 遠(yuǎn)程教育和互聯(lián)網(wǎng)的引入以及對(duì)外技術(shù)交流與合作服務(wù)等大量的 業(yè)務(wù) ， 要求校園網(wǎng)必須是一個(gè)實(shí)用的 、 高可靠 、 高效率 、 高擴(kuò)展性 、 高安全性系統(tǒng) 。 IP 電話之所以發(fā)展迅速、備受人們關(guān)注，其主要原因是 IP電話能節(jié)省大量長(zhǎng)途電 話費(fèi)用，尤其是打國(guó)際長(zhǎng)途電話。遠(yuǎn)程教育的發(fā)展正在引發(fā)教育的又一輪變革，民主的教育模式和信息技術(shù)手段已經(jīng)被網(wǎng)校很好地利用，由此帶來(lái)的教學(xué)內(nèi)容改革和教法改革成為諸多網(wǎng)校吸引生源的法寶。該業(yè)務(wù)將電視機(jī)或個(gè)人計(jì)算機(jī)為顯示終端，通過(guò)機(jī)頂盒接入寬帶網(wǎng)絡(luò)，高校網(wǎng)絡(luò) 方案 模板 7 可以向用戶提供數(shù)字廣播電視、 VOD 點(diǎn)播、視頻錄像等諸多寬帶業(yè)務(wù)。 高校網(wǎng)絡(luò) 方案 模板 5 校園網(wǎng)要求實(shí)現(xiàn)組播業(yè)務(wù)。 高校網(wǎng)絡(luò) 方案 模板 3 第第 2 章章 需需 求求 分分 析析 建建 設(shè)設(shè) 背背 景景 在信息化浪潮席卷全球、日益滲 透到社會(huì)生活各個(gè)領(lǐng)域的今天，數(shù)字化校園建設(shè)如火如荼。一所成功的學(xué)校不僅在學(xué)術(shù)上、教育上要力爭(zhēng)上 游，更應(yīng)在管理上上一個(gè)臺(tái)階。 隨著計(jì)算機(jī)技術(shù)、網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)設(shè)備的價(jià)格不斷下降；同時(shí)國(guó)家各級(jí)政府對(duì)于教育的投入不斷增加，大量計(jì)算機(jī)進(jìn)入了校園，組建校園網(wǎng)不僅是十分迫 切的工作，可行性也非常高。用戶可通過(guò)不同的帳號(hào)或采用相同帳號(hào)的不同域名進(jìn)行認(rèn)證，以獲得不同的權(quán)限，不同的權(quán)限對(duì)應(yīng)不同的計(jì)費(fèi)策略。 ● 寬帶上網(wǎng) ： 在信息化的今天，人們已經(jīng)把網(wǎng)絡(luò)當(dāng)成獲取信息的重要的源泉，而 WEB 應(yīng)用則起到了舉足輕重的作用。當(dāng)您打開(kāi)電視，您可以不看廣告，不為某個(gè)節(jié)目趕時(shí)間，隨時(shí)直接點(diǎn)播希望收看的內(nèi)容，就好像播放剛剛放進(jìn)自己家里錄像機(jī)或 VCD 機(jī)中的一部新片子，但是您又不需要購(gòu)買錄像帶或者高校網(wǎng)絡(luò) 方案 模板 8 VCD 盤，也不需要錄像機(jī)或者 VCD 機(jī)。 隨著國(guó)家對(duì)中國(guó)教育行業(yè)的更加重視并加大投入，中國(guó)教育網(wǎng)的建設(shè)得到了國(guó)家更大的支持并得到了更加廣泛的應(yīng)用，并已經(jīng)成為一種其它方式不能代替的獲得資源的重要手段，因高校網(wǎng)絡(luò) 方案 模板 10 此教師和學(xué)生對(duì)網(wǎng)絡(luò)的依賴也越來(lái)越強(qiáng)，隨時(shí)隨地能夠從網(wǎng)絡(luò)獲得相要的資源成為教育用 戶追求的目標(biāo)。 加強(qiáng)應(yīng)用 數(shù)字化校園建設(shè)的核心目的就是“應(yīng)用”，使各個(gè)職能部門實(shí)現(xiàn)管理信息化、教學(xué)信息化，實(shí)現(xiàn)上下級(jí)部門之間更簡(jiǎn)便快捷的溝通，實(shí)現(xiàn)不同職能部門之間的數(shù)據(jù)共享與交換，提高高校網(wǎng)絡(luò) 方案 模板 13 決策的科學(xué)性和民主性，減員增效，形成充滿活力的新型管理機(jī)制，為廣大師生提供個(gè)性化的綜合信息服務(wù)。 安全性 制訂統(tǒng)一的網(wǎng)絡(luò)安全策略 ， 整體考慮網(wǎng)絡(luò)平臺(tái)的安全性 。匯聚層到核心層要具備冗余傳輸鏈路，任何單條鏈路斷連不影響網(wǎng)絡(luò)的可用性。 校校 園園 網(wǎng)網(wǎng) 絡(luò)絡(luò) 的的 總總 體體 架架 構(gòu)構(gòu) 總結(jié)我們多年從事校園網(wǎng)建設(shè)的經(jīng)驗(yàn)，在經(jīng)過(guò)充分交流和詳細(xì)的技術(shù)論證的基礎(chǔ)上，我們提出整個(gè)校園網(wǎng)的結(jié)構(gòu)模型（如下圖）。 在網(wǎng)絡(luò)結(jié)構(gòu)上， 采用先進(jìn)的萬(wàn) 兆以太網(wǎng)技術(shù) (第三層交換 )作為核心層，呈網(wǎng)狀拓?fù)浣Y(jié)構(gòu)。 網(wǎng)絡(luò)核心作為全網(wǎng)的心臟，向?qū)W校的教學(xué)辦公、學(xué)生宿舍以及各種應(yīng)用系統(tǒng)（在線點(diǎn)播、電子郵件、 WEB 服務(wù)等）源源不斷的提供安全穩(wěn)定的信息血液，保證整個(gè)學(xué)校相關(guān)業(yè)務(wù)的可靠運(yùn)行。在本解決方案中主要通過(guò)三種技術(shù)提供 QoS 機(jī)制：應(yīng)用識(shí)別、基于 的 CoS 和 RSVP。 網(wǎng)網(wǎng) 絡(luò)絡(luò) 防防 火火 墻墻 系系 統(tǒng)統(tǒng) 為了保證校園網(wǎng) 內(nèi)部網(wǎng)